Miks peaksid Androidi kasutajad hoolitsema dünaamilise koodi laadimise eest

Kui inimesed kasutavad Androidi rakendusi, ei lähe neil igal juhul taustal toimuv pähe. Kahjuks võib dünaamilise koodi laadimise nimega programmeerimisvõimalus põhjustada turvariske. Siin on, mida peate selle kohta teadma.

Mis on dünaamilise koodi laadimine?

Rakenduse väljatöötamisel moodustab koodibaasi kogu rakenduse loomisel kasutatud lähtekood. Dünaamiline koodi laadimine võimaldab rakendusel tõmmata sisu oma koodibaasist kaugemale ja käivitada selle töö või käituse ajal.

Selle valiku tulemuseks võib olla väiksem rakenduse suurus, kuna levinud tava on koodi kaughoiustamine, selle asemel, et seda rakendusse sisse kinnitada Androidi paketikomplekt (APK).

APK on failivorming, mida Android kasutab rakenduste levitamisel ja installimisel. See sisaldab kõiki komponente, et rakendus ühilduvas seadmes töötaks. Dünaamiline koodi laadimine toob eeliseid arenduse seisukohast, sealhulgas mõned, mis parandavad rakenduse kasutatavust.

Näiteks võib rakendus näidata inimesele erinevat sisu sõltuvalt sellest, kas ta kasutab tasuta või lisatasu versiooni. Dünaamiline koodi laadimine võib kuvada õiget sisu kasutaja taseme põhjal ilma APK suurust suurendamata.

Lisaks võimaldab dünaamiline koodi laadimine arendajatel avaldada uusi rakenduse versioone, mis sisaldavad väikesi muudatusi. Kasutajad saavad uusimad versioonid ilma midagi alla laadimata.

Nendest eelistest hoolimata võib dünaamiline koodi laadimine tõsta Androidi rakenduste turvalisusega seotud riske.

Pahatahtlikud rakendused sisaldavad sageli dünaamilise koodi laadimist

2019. aasta uurimistöö autorid uurisid pahatahtlikke Androidi rakendusi, et leida nende ühisosa. Nad tõid ohtlike rakenduste peamise omadusena välja teiste osapoolte varasemad uuringud, mis näitasid dünaamilist koodide laadimist.

Ligi 20 000 rakendust 86 798 rakendusest üks uurimine oli dünaamiline koodi laadimine.

Lisaselgitused näitasid, et inimesed panid ohtliku rakenduse põhifunktsioonid sõltumatutesse raamatukogudesse ja kasutavad seejärel selle käitamiseks dünaamilist koodilaadimist. See lähenemine kaitseb rakenduse pahatahtlikku käitumist, muutes selle vähem tuvastatavaks.

Google'i dokumentatsioon tuvastatud pahavara tüüpide kohta selgitab isegi see, et dünaamiline koodi väärkasutamine võib olla märgistatud kui tagauks. Ettevõte määratleb tagaukse pahavara kui potentsiaalselt kahjulike kaugjuhtimisega toimingute teostamist seadmes. Seejärel tõi see näite dünaamilisest koodi laadimisest, mis võimaldab rakendusel tekstsõnumeid välja tõmmata.

Google ütleb siiski, et uuritakse, kas koodi käivitamine toimib sõnaselgelt pahatahtlikult. Kui ei, käsitleb ettevõte meelevaldset koodi käivitamist arendaja lappimiseks haavatavana.

Ohtlike rakenduste korral lubab meelevaldne koodi käivitamine häkkeril kaugjuhtimisega käske sihitud seadmes täita.

Teadlased tuvastavad dünaamilise koodi laadimise probleemi

Google võtab kasutajate turvalisuse suurendamiseks sageli otsustavaid meetmeid. Näiteks jälgivad kolmanda osapoole küpsised kasutajaid, salvestavad nende teabe ja kasutavad seda hiljem neile suunatud reklaamide kuvamiseks. Ettevõte siiski teeb blokeerida Chrome'i brauseris kolmandate osapoolte küpsised aastaks 2022. Konkreetset muudatuse kuupäeva see ei andnud.

Turvalisusele keskendumine ei muuda siiski ettevõtet probleemideta. Küberjulgeoleku uurijad leidsid koodis püsiva meelevaldse koodi täitmise Google'i rakendus ja teatas sellest ettevõttele. Probleem lahendati 2021. aasta mais, kuid see pani rohkem inimesi tähelepanu pöörama koodide dünaamilise laadimisega seotud võimalikele probleemidele.

Teadlased kinnitasid, et haavatavus lubab ründajal enne inimese Google'i andmete varastamist rakenduse käivitada ainult ühe korra. Häkker võiks Google'i rakenduse viga ära kasutada, et tõmmata koodide kogu ohtlikust rakendusest inimese seadmesse.

Sealt pääses küberkurjategija ligi peaaegu kõigile inimese Google'i andmetele, sealhulgas nende meilidele. Nad võivad isegi aktiveerida kasutaja mikrofoni, kaamera ja reaalajas asukoha teabe.

Pöörake tähelepanu hoiatustele rakenduse ohtlike haavatavuste kohta

Kuna dünaamiline koodi laadimine toimub arenduse lõpus, ei saa keskmine rakenduse kasutaja midagi teha - kontrollida, kas teatud pakkumine võib kujutada varjatud ohte seoses selle toimimisega taust. Siiski on mõistlik kõigil silma peal hoida Androidi rakenduse turvalisus uudised, mis jõuavad tehnoloogia pealkirjadesse

Küberjulgeoleku uurijad otsivad pidevalt probleeme, mis võivad ohustada sadu tuhandeid rakenduse kasutajaid, ja annavad siis neist aru. Rakenduse võimalikest ohtudest teadlik hoidmine aitab kasutajatel otsustada, kas ja millal potentsiaalselt problemaatilist rakendust värskendada või kustutada.

10 populaarset Androidi rakendust, mida te EI peaks installima

Need Androidi rakendused on ülipopulaarsed, kuid ohustavad ka teie turvalisust ja privaatsust. Kui olete need installinud, soovite pärast selle lugemist desinstallida.

Loe edasi

Autori kohta